Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung im Zusammenhang mit dem Betrieb dieser Anwendung ist:

• infrion GmbH, Siemensstr. 6, 40885 Ratingen, Deutschland
• Vertreten durch die Geschäftsführer Phillip Reinartz und Andreas Martin Schaller jun.
• Handelsregister: HRB 111609
• Telefon: +49 2102 37041 00 · E-Mail: info@infrion.de

Ansprechpartner für den Datenschutz: Phillip Reinartz, erreichbar unter reinartz@infrion.de. Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG derzeit nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die vorgenannte Adresse.

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Bei der Nutzung der Vertrags-KI sind zwei Verarbeitungssituationen zu unterscheiden:

• Für die Daten, die für den Betrieb der Anwendung selbst erforderlich sind — insbesondere Registrierungs-, Konto-, Anmelde- und Protokolldaten der Nutzerinnen und Nutzer — ist infrion Verantwortlicher. Diese Erklärung informiert Sie über diese Verarbeitung.
• Für die Inhalte, die ein Kunde in die Software einspielt — Vertragsdokumente und die darin enthaltenen personenbezogenen Daten — ist der jeweilige Kunde Verantwortlicher. infrion verarbeitet diese Inhalte ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO. Grundlage ist der Auftragsverarbeitungsvertrag, der als Anlage 2 Bestandteil der Allgemeinen Geschäftsbedingungen ist. Sind Sie von einer solchen Verarbeitung betroffen, richten Sie Ihre Betroffenenrechte bitte an den Kunden, der die Unterlagen eingespielt hat; wir leiten Anfragen, die uns direkt erreichen, unverzüglich an ihn weiter.

3. Welche Daten wir verarbeiten

a) Registrierungs- und Kontodaten

Bei der Selbstregistrierung erheben wir den Namen der Organisation, Ihren Namen, Ihre E-Mail-Adresse, ein von Ihnen gewähltes Passwort sowie die von Ihnen gewählte Sprache. Ferner speichern wir den Zeitpunkt Ihrer Zustimmung zu den Allgemeinen Geschäftsbedingungen und die Fassung, der Sie zugestimmt haben. Passwörter werden ausschließlich als Hash gespeichert; wir können sie nicht einsehen.

b) Anmelde- und Sitzungsdaten

Für die Anmeldung verarbeiten wir Sitzungskennungen mit Ablaufzeitpunkt sowie zeitlich befristete Einmal-Token für die E-Mail-Bestätigung, die Einladung neuer Nutzer und das Zurücksetzen von Passwörtern.

c) Nutzungs- und Protokolldaten

Beim Aufruf der Anwendung fallen technisch bedingt Server-Protokolldaten an (IP-Adresse, Zeitpunkt, aufgerufene Ressource, Statuscode, übertragene Datenmenge, User-Agent, Referrer sowie eine Anfrage-Kennung zur Fehlersuche). Zusätzlich protokollieren wir sicherheits- und mandantenrelevante Vorgänge in einem Aktivitätsprotokoll (wer hat wann welche Aktion in welcher Organisation ausgeführt), um Änderungen nachvollziehbar zu machen.

d) Inhaltsdaten

Die von Ihnen hochgeladenen Vertragsdokumente werden gespeichert und automatisiert aufbereitet. Dabei entstehen strukturierte Textabschnitte, Vektor-Einbettungen für die Suche sowie extrahierte Angaben wie Fristen, Vertragswerte und Klauseln. Ferner speichern wir Ihre Chatverläufe (Fragen, Antworten und die zugehörigen Fundstellen), damit Sie an frühere Unterhaltungen anknüpfen können.

e) Kommunikations- und Fehlerdaten

Für den Versand transaktionaler E-Mails (Bestätigung der Registrierung, Einladungen, Passwort-Zurücksetzen) verarbeiten wir Ihre E-Mail-Adresse und Ihren Namen. Zur Fehlerdiagnose erfassen wir technische Fehlerberichte einschließlich Sitzungsaufzeichnungen; Einzelheiten hierzu unter Ziffer 9.

f) Zahlungs- und Rechnungsdaten

Nehmen Sie eine entgeltliche Leistung in Anspruch, verarbeiten wir zusätzlich Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer sowie die zur Abwicklung erforderlichen Zahlungsdaten. Vollständige Kartendaten werden von unserem Zahlungsdienstleister erhoben und verarbeitet; sie erreichen unsere Systeme nicht. Für die Nutzung im Rahmen der Selbstregistrierung fallen keine Entgelte und damit auch keine Zahlungsdaten an.

4. Zwecke und Rechtsgrundlagen

Soweit wir Sie im Einzelfall um eine Einwilligung bitten, ist Art. 6 Abs. 1 lit. a DSGVO die Rechtsgrundlage. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

5. Empfänger und Auftragsverarbeiter

Ihre Daten werden innerhalb unseres Unternehmens nur den Personen zugänglich gemacht, die sie zur Erfüllung ihrer Aufgaben benötigen. Darüber hinaus setzen wir die folgenden Dienstleister als Auftragsverarbeiter ein. Diese Liste entspricht Anlage 2 Ziffer 6 der Allgemeinen Geschäftsbedingungen:

Eine Übermittlung an staatliche Stellen erfolgt nur, soweit wir hierzu gesetzlich verpflichtet sind. Ein Verkauf von Daten oder eine Weitergabe zu Werbezwecken findet nicht statt.

6. Übermittlung in Drittländer

Ihre Vertragsdokumente und die daraus erzeugten Daten werden ausschließlich in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeitet. Eine Übermittlung dieser Daten in Drittländer findet nicht statt. Dies gilt ausdrücklich auch für die KI-gestützte Auswertung: die eingesetzten Sprachmodelle werden über Azure AI Foundry in EU-Regionen betrieben.

Eine Ausnahme besteht allein für die Abwicklung entgeltlicher Leistungen: Unser Zahlungsdienstleister Stripe verarbeitet Zahlungs-, Rechnungs- und Kontaktdaten auch auf Servern in den USA. Vertragsinhalte werden dabei nicht übermittelt. Grundlage der Übermittlung ist die Zertifizierung von Stripe, Inc. unter dem EU-U.S. Data Privacy Framework, für das die Europäische Kommission mit Angemessenheitsbeschluss vom 10. Juli 2023 ein angemessenes Schutzniveau festgestellt hat; ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter reinartz@infrion.de.

7. KI-Verarbeitung, Maskierung und Transparenz

Die Vertrags-KI beantwortet Fragen auf Grundlage der eingespielten Dokumente. Für den Schutz personenbezogener und vertraulicher Inhalte gelten dabei die folgenden, technisch durchgesetzten Grundsätze:

• Maskierung vor der Verarbeitung: Vor der Indizierung, der Berechnung von Einbettungen und jeder Weitergabe an ein Sprachmodell werden personenbezogene und sensible Inhalte automatisiert erkannt und durch Platzhalter ersetzt. Das Platzhalter-Vokabular ist abgeschlossen: [PERSON], [UNTERNEHMEN], [EMAIL], [IBAN], [BETRAG], [KALKULATION], [LOHN].
• Maskiert im Ruhezustand: Suchindex und Einbettungen werden ausschließlich aus maskierten Texten gebildet. Unmaskierte Inhalte werden getrennt gespeichert, nicht indiziert und nur Nutzerinnen und Nutzern angezeigt, denen der Kunde ausdrücklich eine entsprechende Berechtigung erteilt hat.
• Kein Training: Ihre Dokumente und Nutzungsdaten werden nicht zum Training oder Fine-Tuning von KI-Modellen verwendet und nicht zu Trainingszwecken an Anbieter von KI-Basismodellen weitergegeben.
• Mandantentrennung: Antworten werden ausschließlich aus den Dokumenten der eigenen Organisation erzeugt. Die Bindung an die Organisation wird sowohl auf Anwendungs- als auch auf Datenbankebene erzwungen.

Transparenzhinweis: Die Antworten der Software werden von einem KI-System erzeugt. Sie sind kein Ergebnis menschlicher Prüfung im Einzelfall und können trotz Fundstellenangabe unvollständig oder unzutreffend sein. Prüfen Sie jede Antwort anhand der ausgewiesenen Fundstelle bzw. des Originaldokuments, bevor Sie sie verwenden. Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt.

8. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

9. Cookies und Speicherung auf Ihrem Endgerät

Wir setzen keine Cookies zu Werbe- oder Marketingzwecken ein und binden keine Dienste zur werblichen Profilbildung ein. Die folgenden Speichervorgänge sind für die Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes und für dessen Störungsdiagnose unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist hierfür nicht erforderlich:

Sie können Cookies in Ihrem Browser löschen oder blockieren. Da die genannten Speichervorgänge technisch erforderlich sind, kann die Anwendung danach ganz oder teilweise nicht mehr nutzbar sein.

10. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Zerstörung und unbefugten Zugriff zu schützen. Die Übertragung erfolgt ausschließlich verschlüsselt über TLS; Dokumente sind nur über zeitlich befristete, signierte Links abrufbar; Datenbank und Objektspeicher sind im Ruhezustand verschlüsselt. Die vollständige Beschreibung der Maßnahmen finden Sie als Anlage 3 der Allgemeinen Geschäftsbedingungen.

11. Ihre Rechte

Sie haben uns gegenüber die folgenden Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO);
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine formlose Nachricht an reinartz@infrion.de. Betrifft Ihr Anliegen Inhalte, die ein Kunde eingespielt hat, leiten wir es unverzüglich an diesen als Verantwortlichen weiter (siehe Ziffer 2).

12. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

• Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
• Kavalleriestraße 2–4, 40213 Düsseldorf
• www.ldi.nrw.de

13. Erforderlichkeit der Bereitstellung

Die Angabe der Registrierungsdaten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne diese Angaben können wir jedoch kein Nutzerkonto einrichten und die Software nicht bereitstellen. Sie sind nicht verpflichtet, uns Daten zur Verfügung zu stellen; die Nutzung der Anwendung setzt sie aber voraus.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung, die eingesetzten Dienstleister oder die rechtlichen Rahmenbedingungen ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar; die Fassung und ihr Stand sind am Anfang des Dokuments ausgewiesen. Über wesentliche Änderungen informieren wir angemeldete Kunden zusätzlich per E-Mail.